запрет интернета apparmor

[mio-no-windows]

всем здрасьте...помогите новичку...нужно запретить доступ в интернет определенным программам(при этом чтоб эти программы работали в обычном режиме, ну кроме интернета).
Почитал в интернете что с помощью apparmor можно это сделать...Решил взять для примера оперу...В общем что я делал:
1. создал файл usr.lib.x86_64-linux-gnu.opera.opera
со следующим содержимым:

Код: [Выделить]

/usr/lib/x86_64-linux-gnu/opera/opera {

deny network,
deny capability net_bind_service,
deny capability net_broadcast,
deny capability net_admin,
deny capability net_raw,
capability chown,
capability dac_override,
capability dac_read_search,
capability fowner,
capability fsetid,
capability kill,
capability setgid,
capability setuid,
capability setpcap,
capability linux_immutable,
capability ipc_lock,
capability ipc_owner,
capability sys_module,
capability sys_rawio,
capability sys_chroot,
capability sys_ptrace,
capability sys_pacct,
capability sys_admin,
capability sys_boot,
capability sys_nice,
capability sys_resource,
capability sys_time,
capability sys_tty_config,
capability mknod,
capability lease,
capability audit_write,
capability audit_control,
capability setfcap,
capability mac_override,
capability mac_admin,
/** rwmlkux,
/ rwmlkux,
 
}
2. переместил этот файл в etc/apparmor.d.
3. запустил мой профиль в enforce.
4. запустился мой профиль.
5. пробовал запустить приложение опера не запускается в обычном режиме.
6.перевел профиль в режим обучения.
7. приложение запустилось, но только в процессах...

что нужно сделать чтобы приложение запустилось в обычном режиме( чтоб было не только в процессах, но и в графической оболочке и без интернета?
буду благодарен любой информации...

[AnrDaemon]

1. Не валить сразу кучу говна в профиль.
2. Запускать в режиме обучения, пока не будут достигнуты желаемые резальтаты.

[mio-no-windows]

1. Не валить сразу кучу говна в профиль.
2. Запускать в режиме обучения, пока не будут достигнуты желаемые резальтаты.

пожалуйста не надо отвечать если вам нечего сказать по существу...читайте вопрос и содержимое внимательно...

[AnrDaemon]

От того, что вам не понравился ответ, он не становится менее верным.
Уберите всё, что вы написали в профиле. Запустите программу. Проверьте работу.
Добавьте одну строчку. Перезагрузите всё. проверьте работу.
А то, что вы вывалили - в этом никто разбираться ЗА ВАС не будет.
Мы можем ПОМОЧЬ разобраться вам, объяснить непонятные места.
Но делать что-то за вас - либо платите деньги, либо предоставьте более убедительную аргументацию, чем "мне не нравится ваш ответ"..

[mio-no-windows]

От того, что вам не понравился ответ, он не становится менее верным.
Уберите всё, что вы написали в профиле. Запустите программу. Проверьте работу.
Добавьте одну строчку. Перезагрузите всё. проверьте работу.
А то, что вы вывалили - в этом никто разбираться ЗА ВАС не будет.
Мы можем ПОМОЧЬ разобраться вам, объяснить непонятные места.
Но делать что-то за вас - либо платите деньги, либо предоставьте более убедительную аргументацию, чем "мне не нравится ваш ответ"..

я удалял все в скобках {} этих...все равно опера не запускается...(при том что профиль(апармор) запущен

[mio-no-windows]

Короче разобрался без всяких пафосных царь-батюшек....  ,которым либо трудно написать пару слов, либо просто отсутствие знания...
Либо я такой криворукий, либо логика не мое, опера не хотела запускаться, даже с пустыми скобками, как только дал разрешение на исполняемый файл оперы она зажглася в режиме обучения только(ну это понятно, в принципе почему, вот только не понятно почему она не запускалась в режиме обучения без разрешения на исполнение исполняемого файла оперы это был первый супер-пупер наворот от разработчиков apparmor)...следущаяя супер-пупер задумка разработчиков это политика запрещено все, кроме того что разрешено явно, я конечно понимаю, что они заботились прежде всего о безопасности, но чтобы запустить один профиль придется разобраться не много не мало, а весь синтаксис apparmor и всю подноготную обрабатываемого приложения...да да...ВЕСЬ СИНТАКСИС и ВСЮ ПОДНОГОТНУЮ, чтоб запустить один профиль...это конечно с точки зрения обычного пользователя (т.е. меня) просто обсурдно...есть там какие-то шаблоны...ну короче вот такой apparmor...задумка конечно хорошая...

[AnrDaemon]

Вообще-то apparmor сделан не "для" а "против" "обычных пользователей".

[mio-no-windows]

Вообще-то apparmor сделан не "для" а "против" "обычных пользователей".

Ну я понял...за вечер я так и не смог запустить оперу в обычном режиме с запретом интернета....может за месяцок освою....